CVE-2026-93598 in ArcadeDB
요약
\~에 의해 VulDB • 2026. 09. 18.
ArcadeDB(Maven 아티팩트 com.arcadedb:arcadedb-engine)의 26.8.1 버전까지는 polyglot 스크립트 샌드박스에서 불완전한 deny-list가 존재합니다. 즉, com.arcadedb.query.polyglot.HostClassLookupFilter.DENIED는 java.util.ResourceBundle를 단순 클래스 이름으로 나열하고 있어 정확히 일치하는 경우에만 매칭되므로 하위 클래스는 커버되지 않습니다. 반면 ScriptTriggerExecutor.ALLOWED_PACKAGES는 java.util.*을 허용합니다. UPDATE_SCHEMA 권한(JavaScript 트리거 생성 또는 변경에 충분하며 서버 관리자 권한 불필요)이 있는 사용자는 java.util.PropertyResourceBundle 또는 java.util.ListResourceBundle를 참조하고 상속된 정적 ResourceBundle.getBundle(String) 메서드를 호출하여 애플리케이션 클래스패스로부터 .properties 리소스를 읽을 수 있습니다. 이는 샌드박스(IOAccess.NONE, java.io.\*\*, java.nio.\*\* 및 java.net.\*\*가 차단됨)에서 접근 불가능하게 하도록 설계된 기능입니다. 이를 통해 데이터베이스 자격 증명 및 API 키와 같은 패키징된 애플리케이션 구성 정보가 유출될 수 있습니다. 해당 보안 권고문에서는 이 문제가 임의 호스트 파일 시스템 읽기나 원격 코드 실행(RCE)을 제공하지 않는다고 명시합니다. 26.9.1에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.